サービス・タスク系のいろいろ のバックアップ(No.12)

[ トップ ]   [ 新規 | 一覧 | 単語検索 | 最終更新 | ヘルプ ]

• バックアップ一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• サービス・タスク系のいろいろ へ行く。
  • 1 (2014-09-02 (火) 22:21:23)
  • 2 (2014-09-03 (水) 09:11:24)
  • 3 (2015-02-16 (月) 12:19:54)
  • 4 (2015-06-03 (水) 10:18:42)
  • 5 (2015-06-11 (木) 23:39:51)
  • 6 (2015-07-01 (水) 15:39:46)
  • 7 (2015-07-23 (木) 09:46:00)
  • 8 (2015-08-12 (水) 20:34:17)
  • 9 (2015-12-08 (火) 12:19:33)
  • 10 (2016-01-26 (火) 18:43:47)
  • 11 (2016-04-06 (水) 15:33:07)
  • 12 (2016-06-29 (水) 14:53:45)
  • 13 (2016-07-22 (金) 12:18:44)
  • 14 (2016-11-14 (月) 09:28:07)
  • 15 (2016-11-25 (金) 09:01:28)
  • 16 (2017-01-12 (木) 16:29:56)
  • 17 (2017-03-27 (月) 11:35:59)
  • 18 (2017-04-27 (木) 13:05:05)
  • 19 (2018-07-30 (月) 16:24:36)
  • 20 (2019-01-23 (水) 12:50:13)
  • 21 (2019-01-23 (水) 18:46:58)
  • 22 (2019-02-04 (月) 17:14:23)
  • 23 (2020-03-24 (火) 09:55:30)
  • 24 (2020-04-13 (月) 11:28:08)

---

Open棟梁Project - マイクロソフト系技術情報 Wiki

• 戻る

目次 †

概要 †

タスク ＝ タスク・スケジューラ ＝ Windowsサービスのため

「タスク・スケジューラもWindowsサービス」です。

Windowsサービス全般の実行アカウント問題を中心としたトラブルシュートについて説明します。

アカウント関係 †

• 通常、Windowsサービスの実行アカウントとして
  サービスで使用されるビルトイン システム アカウントが使用されます。

• IISでは、「Network Service」を使用します。
• タスク スケジューラでは、「System」（LocalSystem?）を使用します。

• このため、Windowsサービスやタスク スケジューラからの実行では、
  普段意識していないOSやAPIの認証機構の存在を意識する必要があります。

runasコマンド実行アカウントを指定する（アンマッチ） †

runasコマンドで一時的にほかのユーザー権限でプログラムを実行する事ができますが、
コマンドからパスワードは与えられず、ユーザに入力を求めるダイアログが表示されますので
非対話型のセッションから実行されるWindowsサービスやタスク スケジューラではアンマッチです。

• 一時的にほかのユーザー権限でプログラムを
  実行する方法（runasコマンドを利用する方法） － ＠IT
  http://www.atmarkit.co.jp/fwin2k/win2ktips/758runascmd/runascmd.html

タスク スケジューラの実行アカウントを指定する †

タスク スケジューラの機能を使用する †

以下のKBにあるように、タスク スケジューラは実行アカウントを指定して実行させる事ができます。

• ユーザー アカウントにパスワードがないとタスク スケジューラでタスクが実行されない
  http://support.microsoft.com/kb/299854/ja

コマンドからは以下の様に設定します。

• TechNet?

• Command-line Reference > A-Z List
  • Atコマンド
    http://technet.microsoft.com/ja-jp/library/cc772590.aspx
  • Schtasksコマンド
    http://technet.microsoft.com/ja-jp/library/cc725744.aspx

• タスクのセキュリティ コンテキスト
  http://technet.microsoft.com/ja-jp/library/cc722152.aspx

タスクスケジューラに特権を付与する †

こちらを参照して下さい。

タスクスケジューラからUIをコントロールする場合、 †

バックグラウンドからのUIオートメーションはサポートされない。
従って、以下のように設定をして、フォアグラウンドで実行できるようにする。

• ログオン・ユーザの実行アカウントで実行させ、
• タスクスケジューラに以下の設定を行う。
  • 「ユーザがログオンしている時のみ実行する。」にチェックを入れる
  • 「操作の編集ダイアログ」の
    • 「プログラム/スクリプト」に「cscript」を定義し、
    • 「引数の追加」に「UIオートメーションを実行するVBScriptのパス」を指定する。

参考：

• タスクスケジューラでvbsを実行した時、起動したソフトが最前面… - 人力検索はてな
  http://q.hatena.ne.jp/1373728119

Windowsサービスの実行アカウントを指定する †

IISやSQL Serverなど †

IIS（のワーカ・プロセス）やSQL Serverなど、
専用の設定画面を持ち、ここから設定が可能です。

• IIS
  • IIS7.5（のワーカ・プロセス）からは、アプリケーションプール IDが導入され、
    既定で「Network Service」ではなく「DefaultAppPool」が使用されます。

• IIS 7 のアクセス許可
  http://awoni.net/tips/iis_acl/

• アプリケーション プール IDの権限設定をする場合、
  IIS_AppPool?\ApplicationPoolName?ユーザか、IIS_IUSRSグループに対して権限を設定する。

  IIS 7 以降でのアプリケーションプールと権限について調べた - しばやん雑記
  http://blog.shibayan.jp/entry/20150127/1422369253

• SQL Server
  • SQL Server インストールのセキュリティに関する注意点
    http://msdn.microsoft.com/ja-jp/library/ms144228.aspx
  • サーバーの構成 - サービス アカウント
    http://msdn.microsoft.com/ja-jp/library/cc281953.aspx
  • SQL Server のサービス開始アカウントの変更 (SQL Server 構成マネージャー)
    http://msdn.microsoft.com/ja-jp/library/ms345578.aspx

ASP.NET（偽装） †

ASP.NETでは、偽装を使用する事によって、
実行アカウントを指定することもできます。

ASP.NET アプリケーションに偽装を実装する方法
http://support.microsoft.com/kb/306158/ja

偽装には、

• サーバ信頼セキュリティ モデル

  特定のアカウントに偽装する。

• ベース クライアント セキュリティ モデル

  Windowsサービスにアクセスしてきたユーザの認証アカウントに偽装する。

があります。

匿名アカウントを実行アカウントにする場合は偽装が必要になります。
通常は、IIS（のワーカ・プロセス）の実行アカウントで実行される。

• ＠IT：連載：プログラミングASP.NET　第17回　ASP.NETにおける認証と認定
  http://www.atmarkit.co.jp/fdotnet/aspnet/aspnet17/aspnet17_03.html
  

APIを使用した偽装 †

ASP.NETのように、偽装の機能が実装されているWindowsサービスも有りますが、
Win32APIを使用して偽装することもできます（区間的、部分的な偽装）。

• 参考
  • ASP.NET アプリケーションに偽装を実装する方法
    http://support.microsoft.com/kb/306158/ja
  • コード内で認証中のユーザーを偽装する
  • コード内で特定のユーザーを偽装する

• Open棟梁のIdentityImpersonation.ImpersonateValidUser＋UndoImpersonationメソッド
  • 区間偽装のサンプル - Open 棟梁 Wiki

偽装スレッドからEXEを起動 †

また、ASP.NETなどの偽装スレッドからEXE起動をした場合、
EXEが偽装スレッドの実行アカウントで実行されない問題があります。

• Microsoft ASP.NET で偽装ユーザーの
  コンテキストで実行されるプロセスを生成する方法。
  http://support.microsoft.com/kb/889251/ja

  偽装ユーザーのコンテキストで実行されるプロセスを起動するのには、
  System.Diagnostics.Process.Startメソッドを使用できません。

偽装スレッドの実行アカウントでEXEを起動する場合は、
DuplicateTokenEx?→CreateProcessAsUser?関数を使用し、
独自に、ユーザ権限を割り当てる必要があるようです。

以下の点に注意が必要のようです。

• ASP.NET偽装や、ImpersonateValidUser?の偽装レベルは
  SecurityImpersonation?なので、これに合わせる必要がある。

• 独自偽装の、偽装レベルは、どちらでも良いが、双方を合わせる必要がある。
  • SecurityImpersonation?
  • SecurityDelegation?

• 実行アカウントには、以下の設定が必要になる。

• 「プロセス レベル トークンの置き換え」セキュリティ・ポリシー
  このセキュリティ設定は、あるWindowsサービスから別のWindowsサービスを開始するために、
  CreateProcessAsUser?() Win32APIを呼び出せるユーザ アカウントを決定します。
  このユーザー権利を使用するプロセスの 1 つがタスク スケジューラです。

• 既定値:Network Service、Local System

• 参考情報
  • CreateProcessAsUser? すなのかたまり
    http://msmania.wordpress.com/tag/createprocessasuser/
    • [Win32] [C++] LogonUser? と CreateProcessAsUser? すなのかたまり
      http://msmania.wordpress.com/2011/02/06/win32-c-logonuser-%e3%81%a8-createprocessasuser/
    • [Win32] [C++] CreateProcessAsUser? #1 特権編 すなのかたまり
      http://msmania.wordpress.com/2011/12/31/win32-c-createprocessasuser-1-%E7%89%B9%E6%A8%A9%E7%B7%A8/
    • [Win32] [C++] CreateProcessAsUser? #2 トークン編 すなのかたまり
      http://msmania.wordpress.com/2011/12/31/win32-c-createprocessasuser-2-%E3%83%88%E3%83%BC%E3%82%AF%E3%83%B3%E7%B7%A8/
    • [Win32] [C++] CreateProcessAsUser? #3 ソース すなのかたまり
      http://msmania.wordpress.com/2011/12/31/win32-c-createprocessasuser-3-%E3%82%BD%E3%83%BC%E3%82%B9/
    • [Win32] [C++] CreateProcessAsUser? #4 セキュリティ記述子 すなのかたまり
      http://msmania.wordpress.com/2012/01/01/win32-c-createprocessasuser-4-%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E8%A8%98%E8%BF%B0%E5%AD%90/

• Open棟梁のIdentityImpersonation.CreateProcessAsImpersonationUserメソッド

実行アカウントの確認方法 †

.NET †

以下を参照下さい。

• ＠IT：.NET TIPS ユーザーのセキュリティ権限を確認するには？（基本編）
  http://www.atmarkit.co.jp/fdotnet/dotnettips/346rolebasesec1/rolebasesec1.html

権限 †

UAC †

UACの問題で動かないようなケースもパニックです。

Windowsのユーザー・アカウント制御（UAC）を一時的に無効にする － ＠IT
http://www.atmarkit.co.jp/fwin2k/win2ktips/859disuac/disuac.html

UACとは、Windows Vista以降のOSに実装されている
ユーザー・アカウント制御（User Account Control）を指す。

タスク スケジューラとUAC †

タスクのセキュリティ コンテキスト
http://technet.microsoft.com/ja-jp/library/cc722152.aspx

タスク スケジューラのセキュリティ コンテキストに対して Administrators グループを使用してタスクが登録されている場合、
タスクを実行するには、[最上位の特権で実行する] チェック ボックスがオンになっていることも確認する必要があります。

JP1の場合 †

JP1/Automatic Job Management System 3 構築ガイド1
6.2.22 UAC機能有効時にAdministrators権限でジョブを実行するための設定
http://www.hitachi.co.jp/Prod/comp/soft1/manual/pc/d3S0532/AJSX0072.HTM

WindowsのUAC機能を有効にしていると，ビルトインAdministratorを除く，すべての
AdministratorsグループのOSユーザーは，Administrators権限が無効な状態で動作します。
JP1/AJS3では，Administrators権限を必要とするジョブ※が実行できなくなる場合があります。
・・・
「UAC機能有効時にAdministrators権限でジョブを実行するための設定」を有効
にすることによって，UAC機能が有効の場合でもAdministratorsグループの
OSユーザーでAdministrators権限が必要なジョブを実行できます。

ネットワークアクセス †

ネットワーク経由で、ファイル共有やプリンタにアクセスする場合。

サービスで使用されるビルトイン システム アカウントの問題 †

• タスクの実行には、サービスで使用されるビルトイン システム アカウントが使用される事が多いです。
• しかし、サービスで使用されるビルトイン システム アカウントを使用するとネットワーク間で認証できません。
• サービスで使用されるビルトイン システム アカウントはADのグループに入れる事ができないのでAD環境下でもNGです。

一般的に匿名アクセスを許可する以外、

ネットワーク間の認証には

• ミラーアカウントか、
• ドメイン アカウントを
• net use(WNetAddConnection)

を使用する必要があります。

• ミラーアカウント
  WORKGROUP環境で利用。

• ドメイン アカウント
  Active Directory環境で利用。
  • コンピュータ・アカウント
    AD環境下の場合、サービスで使用されるビルトイン システム アカウントを使用する場合、
    コンピュータ・アカウントのアクセス許可をリソースに付与するだけでも良い。
  • 仮想アカウント
    AD環境下の場合、仮想アカウントは自動的に管理され、
    ドメイン環境でネットワークにアクセスすることができる。

• net use(WNetAddConnection)
  WORKGROUP環境・Active Directory環境でも利用可能。

リモート・コマンド †

• RSH（rshsvcサービス）や
• PowerShell（WinRMサービス）で

リモート・コマンドを実行する場合、
リモートでコマンドを実行する際の
実行アカウントを考慮する必要があります。

RSH †

rshsvc.exeは、渡されたシェルを実行しますが、シェルの実行アカウントは、
サービスで使用されるビルトイン システム アカウントであるLocal Systemとなるようです。

WinRM †

WinRMサービスは、渡されたPowerShellを実行しますが、PowerShellの実行アカウントは、
サービスで使用されるビルトイン システム アカウントであるNetwork Serviceとなるようです。

しかし、WinRMサービスは実行時にCredentialを渡す事で実行アカウントを指定でき、
また、色々設定を行う事によってWinRMではダブルホップも可能であるようです。

PsExec? †

RSH（rshsvcサービス）など、上記の実行アカウントで
実行できないコマンドをリモート実行したい場合、PsExec?が利用できる。

• リモート・コンピュータ上でプログラムを実行する（PsExec?編） － ＠IT
  http://www.atmarkit.co.jp/fwin2k/win2ktips/1416psexec/psexec.html
  

• ローカル・アカウントと同じ資格情報得で偽装しリモート・タスクを実行する。
  ただし、この偽装アカウントはダブルホップ問題を持つため適切な設定が無いと
  リモート・タスク上のネットワーク・アクセス時の認証等に失敗する。

• リモートで実行するときのアカウントを指定できる。

• Systemアカウントでプログラムを実行するよう指定できる。

参考情報 †

ローカルの実行アカウントを引き継いでリモートアクセスする場合に知っておきたい
「ダブルホップ」については「ベース クライアント セキュリティ モデル」→「委任」を参照。

帳票印刷 †

Windowsサービスやタスク スケジューラで
帳票ツールを使用しないで印刷を行う推奨された方式はない。

選択肢 †

• Word などを利用する

• Office サーバー サイド オートメーションはマイクロソフトの非推奨

• 一部、裏技的な方法もある。
  同じフォルダーにあるファイルのグループを印刷するマクロ
  http://support.microsoft.com/kb/107880/ja

• Office サーバー サイド オートメーションに該当しなければ良いので、
  サーバ側にゲストOSを用意してログイン状態でログイン・アカウントから
  Office オートメーションを実行すればこの問題には抵触しません。

• ただし、サーバ側にクライアントのゲストOSを用意する必要があるので
  ソリューションや製品の既定の処理方式としては問題のように思います。

• APIを使用する
  帳票ツールが出力するレベルを求めると難易度が高い。
  また、帳票定義もないので開発・保守も難しくなる。

• .NET
  .NETの印刷機能もサーバサイドでの利用は非推奨
  PRB: エラー ASP ページから、または Windows サービスからの印刷時に
  http://support.microsoft.com/kb/324565/ja
  
  • サービスからの.NET Framework印刷クラスの使用はサポートされていません。
  • 印刷するように設計されたすべてのサービスは、Win32 Api を直接使用する必要があります。

• Win32 API
  C++ の知識が必要となる。文字だけであればそれほど難しくはない。

• プリンタプログラミング (その１)
  http://www30020u.sakura.ne.jp/nohito/program/memo/lecture/printer-1.html
• プリンタを利用する (その２)
  http://www30020u.sakura.ne.jp/nohito/program/memo/lecture/printer-2.html
• プリンタを利用する (その３)
  http://www30020u.sakura.ne.jp/nohito/program/memo/lecture/printer-3.html

• 帳票ツールを使用する
  これが推奨だが、要件によってはオーバースペックで、費用もかかってくる。
  一番安い Active Reportsで、開発者ライセンス=1、サーバライセンス=1 で20万円。
  ＃カッチリしていない帳票→レポートなら、.NET同梱のReportViewerも使用できる。

帳票ツール †

OSS †

• NPOI
• Fisshplate.net
• EPPlus

Excel帳票 †

• ExcelCreator?
• ComponentOne? Studio
• ODBC
• Open XML SDK 2.0

• support.microsoft.com

• ADO を使用して Excel ブックのデータの
  読み取りおよび書き込みを行う方法 (ExcelADO)
  http://support.microsoft.com/kb/278973/ja
  

• Visual Basic .NET と ADO.NET を使用して
  Excel ブックのレコードの取得と変更を行う方法
  http://support.microsoft.com/kb/316934/ja
  

• サーバーサイドにおける Open XML を利用したExcel ファイル
  の自動生成方法（ExcelPackage? というOSSの紹介）

• （その１）
  http://crieilluminate.wordpress.com/2009/06/02/%E3%82%B5%E3%83%BC%E3%83%90%E3%83%BC%E3%82%B5%E3%82%A4%E3%83%89%E3%81%AB%E3%81%8A%E3%81%91%E3%82%8B-open-xml-%E3%82%92%E5%88%A9%E7%94%A8%E3%81%97%E3%81%9Fexcel-%E3%83%95%E3%82%A1%E3%82%A4%E3%83%AB-2/

• （その２）
  http://crieilluminate.wordpress.com/2009/06/02/%E3%82%B5%E3%83%BC%E3%83%90%E3%83%BC%E3%82%B5%E3%82%A4%E3%83%89%E3%81%AB%E3%81%8A%E3%81%91%E3%82%8B-open-xml-%E3%82%92%E5%88%A9%E7%94%A8%E3%81%97%E3%81%9Fexcel-%E3%83%95%E3%82%A1%E3%82%A4%E3%83%AB/
  

その他 †

• SharePoint

• SharePoint 2010 を使うと、サーバ側で、Word を pdf に変換できるらしい。
  • Word Automation Services の概要
    http://msdn.microsoft.com/ja-jp/library/ee558830.aspx

• SharePoint 2013 では、 PowerPoint? も pdf 変換できるらしい。
  • PowerPoint? 2013 新機能 Overview (SharePoint 連携)
    http://crieilluminate.wordpress.com/2012/10/10/powerpoint-2013-preview-%E6%96%B0%E6%A9%9F%E8%83%BD-overview-sharepoint-%E9%80%A3%E6%90%BA/

• Windows Live SkyDrive? で Office Web Apps を使用する
  http://office.microsoft.com/ja-jp/web-apps-help/HA101231889.aspx
  • SkyDrive? 使うと、Word を pdf に変換できる

その他 †

非対話型プロセス †

Windowsサービスやタスク スケジューラからの
UIを伴うWindowsアプリケーションの起動は推奨されない。

以下のフォーラムのスレッドでは、
非対話型プロセスで偽装ユーザを
対話ウインドウステーションに追加する方法を説明している。

• C#のWindowsサービスからのProcessによるEXE起動について － Insider.NET － ＠IT
  http://www.atmarkit.co.jp/bbs/phpBB/viewtopic.php?topic=32959&forum=7

• 補足

• WinSta0\default は、コンソールへログインした
  状態の desktop なので、条件が変わるかもしれません。
  • 手を離してるか、
  • スクリーンセーバになってるか、
  • Winlogin の ログイン画面が出てるか

• このため、JP1 の KB にあった、
  「デスクトップとの対話を有効にする方法」では、
  WinSta0\defaultではなく、自前の desktop を作ってた、と思います。
  

• Terminal Service (Remote Desktop Service) が
  有効になると、挙動が、がらっと変わり同じに動かない可能性もあります。

ユーザ・プロファイル †

ユーザ・プロファイルが無い場合にエラーとなるようなAPIは使用する事ができません。
この場合、必要に応じてユーザ・プロファイルをロードする必要があるようです。

該当する処理 †

以下の様な処理が該当します。

• レジストリのHKEY CURRENT USER

• My Documents、Desktop等
  HOMEPATH=\Documents and Settings\ユーザ名
  以下のディレクトリに含まれる情報

• ネットワーク ドライブの接続および切断

• .etc
  • ユーザー プロファイルに保存される設定
    http://technet.microsoft.com/ja-jp/library/cc781142.aspx

処理の例 †

ネットワーク ドライブの接続および切断を例にとると、

例えば、net use(WNetAddConnection?)
を使用してネットワーク・アクセスをすると、

Windowsの

• ファイル共有
• プリンタ共有
• ローカル・ドライブ
• ローカル・プリンタ

といったデバイスへのマッピングを覚えます。

• 参考
  • Windows XP でネットワーク ドライブの接続および切断を行う方法
    http://support.microsoft.com/kb/308582/ja
  • C#でのWNetAddConnection3の使い方を教えてください
    その他(プログラミング) 解決済 | 教えて！goo
    http://oshiete.goo.ne.jp/qa/4423732.html

しかし、これは、情報をプロファイルに覚えるので、
対話型ユーザでログオンしている必要があるようです。

Windowsサービスやタスク スケジューラの処理が、

ユーザ・プロファイルが存在しない実行カウントのコンテキスト上で実行される場合、

必要に応じてユーザ・プロファイルをロードします。
こちらを参照ください。

サービスで使用されるビルトイン システム アカウントで実行 †

サービスで使用されるビルトイン システム アカウントでプログラムを実行しようとしても、
runasコマンドにはサービスで使用されるビルトイン システム アカウントを指定きません。

• 参考：サービスで使用されるビルトイン システム アカウント

この場合、「System」（LocalSystem?）であれば、
タスク スケジューラが既定で、「System」（LocalSystem?）の
サービスで使用されるビルトイン システム アカウントを使用する性質を利用できます。

• 一時的にSystemアカウントでプログラムを実行する － ＠IT
  http://www.atmarkit.co.jp/fwin2k/win2ktips/1165atsys/atsys.html
  

Office サーバー サイド オートメーション †

Office オートメーションをタスクスケジューラから実行しようとした場合に、

Office サーバー サイド オートメーション

の問題に合致するケースがあり得るので注意する必要があります。

タスク・スケジューラの設定 †

設定可能な項目 †

• 実行アカウント（前述）

• UACが有効な場合、Administratorsグループ権限の付与
  • [最上位の特権で実行する]チェック ボックスをオンに設定

• 作業フォルダ
  • [Windows]タスクスケジューラで作業フォルダを指定する方法 DelightMode?
    http://www.delightmode.jp.net/win-taskscheduler.html

参考情報 †

• タスク スケジューラの概要
  http://technet.microsoft.com/ja-jp/library/cc721871.aspx
  • タスク スケジューラのトラブルシューティング
    http://technet.microsoft.com/ja-jp/library/cc721846.aspx

.batはcmd.exeを経由します。 †

• ので、標準入出力が用意されます。

• 標準入力 が用意されないことで、動作がおかしくなるコマンドもあるようです。
  タスクスケジューラ(=Windowsサービス)から直接起動されると、標準入出力が無い。

• 以下レジストリが設定されていますと、
  bat起動前に設定されているプログラムが実行され、思わぬ動きとなります。
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor\AutoRun?
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Command Processor\AutoRun?

• コマンドプロンプトを起動させた時に、
  バッチスクリプトが自動で実行されるのを止めたいです。 - マイクロソフト コミュニティ
  http://answers.microsoft.com/ja-jp/windows/forum/windows_7-windows_programs/%E3%82%B3%E3%83%9E%E3%83%B3%E3%83%89%E3%83%97/c00bd58b-efd0-4a50-99be-2f6291ed2aa4?msgId=604ae0c6-5e5e-4461-94c4-6a9ddca800b8

     

Site admin: dotNetDevelopmentInfrastructure

PukiWiki 1.4.7 Copyright © 2001-2006 PukiWiki Developers Team. License is GPL.
Based on "PukiWiki" 1.3 by yu-ji. Powered by PHP 5.3.3. HTML convert time: 0.091 sec.